Oszustwa w e-commerce rosną z roku na rok, a najczęściej uderzają w sklepy przyjmujące płatności online. Sprawdź, jak rozpoznać podejrzane zamówienie, ograniczyć ryzyko chargebacku i zabezpieczyć konta oraz dane klientów.
Handel internetowy rośnie, a razem z nim rośnie apetyt oszustów. Według danych NBP w pierwszym kwartale 2025 roku liczba nieuczciwych transakcji wzrosła o ponad 7 procent rok do roku, do około 111 tysięcy, a ich wartość zwiększyła się o 15 procent, do 184 milionów złotych. To nie jest problem wyłącznie wielkich platform, tylko codzienność każdego sklepu przyjmującego płatności online.
Najważniejsza liczba dla sprzedawcy jest inna: zdecydowana większość oszukańczych transakcji kartowych, około 86 procent, dotyczy płatności zdalnych, w których karty nie ma fizycznie przy transakcji (card not present). To dokładnie ten scenariusz, który zachodzi w sklepie internetowym. Innymi słowy, e-commerce jest głównym polem działania oszustów kartowych.
Konsekwencje ponosi zwykle sprzedawca. Przy sporze o transakcję kartą to sklep musi udowodnić, że wszystko odbyło się prawidłowo, a jeśli nie potrafi, traci i towar, i pieniądze. Dlatego ochrona przed oszustwami to nie moda, tylko realna pozycja w rachunku zysków i strat. Ten poradnik pokazuje, jak ograniczyć ryzyko na każdym etapie: od zamówienia, przez płatność, po konto klienta.
Zanim wdrożysz zabezpieczenia, warto rozumieć, przed czym się bronisz. Oszustwa w handlu internetowym mają kilka powtarzalnych schematów, a każdy wymaga innej reakcji.
| Rodzaj oszustwa | Na czym polega | Kto ponosi koszt |
|---|---|---|
| Kradzież karty (CNP) | Zamówienie opłacone skradzionymi danymi karty | Sprzedawca po chargebacku |
| Chargeback / obciążenie zwrotne | Kwestionowanie transakcji u wydawcy karty | Sprzedawca, jeśli nie udowodni prawidłowości |
| Przejęcie konta | Logowanie na cudze konto i zamawianie na jego dane | Klient i sprzedawca |
| Friendly fraud | Klient realnie odbiera towar, ale zgłasza chargeback | Sprzedawca |
| Phishing i podszywanie się | Fałszywe strony i maile imitujące markę | Klient, reputacja sklepu |
Kradzież karty to klasyka. Oszust używa wykradzionych danych karty, zamawia towar, a gdy prawdziwy właściciel zgłasza sprawę bankowi, uruchamia się chargeback i sklep zostaje na minusie. Friendly fraud jest trudniejszy, bo klient faktycznie dostaje produkt, po czym twierdzi, że transakcji nie było albo towar nie dotarł. Twoją obroną jest tu dokumentacja: potwierdzenie dostawy, korespondencja, numer śledzenia.
Przejęcie konta (account takeover) polega na zdobyciu dostępu do istniejącego konta klienta, często dzięki hasłom wyciekłym z innych serwisów. Oszust wykorzystuje zapisane dane i zaufaną historię, żeby zamówienie nie wzbudziło podejrzeń. Phishing z kolei uderza pośrednio: podrobione strony i maile podszywające się pod Twój sklep psują reputację marki i wyłudzają dane klientów, nawet jeśli Twój system pozostaje nienaruszony.
Skuteczna ochrona zaczyna się od czujności przy zamówieniu. Oszukańcze transakcje zwykle zostawiają ślady, których nie widać w pojedynczym zamówieniu, ale które rzucają się w oczy, gdy masz wszystkie dane w jednym miejscu.
Na co zwracać uwagę:
Żaden z tych sygnałów pojedynczo nie oznacza oszustwa, bo każdy ma legalne wytłumaczenie. Dopiero ich kumulacja powinna zapalić czerwoną lampkę i skłonić do weryfikacji: telefonu do klienta, prośby o potwierdzenie, a przy dużym ryzyku wstrzymania wysyłki. Kluczem jest to, by ktoś w ogóle te sygnały zauważył, zanim paczka wyjdzie z magazynu. Pomaga w tym monitoring zamówień, który spina zamówienia z wielu platform w jeden widok i pozwala wychwycić nietypowe przypadki, zamiast przeglądać każdy kanał osobno.
Warstwa płatności to serce obrony przed fraudem kartowym. Tu najwięcej zależy od bramki płatniczej i standardów, których przestrzegasz, ale część odpowiedzialności zawsze zostaje po stronie sklepu.
Fundament to zgodność z PCI DSS, czyli standardem bezpieczeństwa obowiązkowym dla każdego, kto przyjmuje płatności kartą. W praktyce oznacza to, że nie przechowujesz pełnych danych kart u siebie, tylko korzystasz z certyfikowanej bramki. Drugim filarem jest 3D Secure, czyli dodatkowe uwierzytelnienie transakcji po stronie banku klienta. Uwierzytelniona płatność przenosi znaczną część ryzyka chargebacku na wydawcę karty, dlatego warto, by bramka wymuszała ten mechanizm.
Chargeback, czyli obciążenie zwrotne, to procedura, w której kupujący kwestionuje transakcję u swojego banku. Bywa uzasadniona (nieuczciwy sprzedawca), ale bywa też narzędziem oszustwa. Twoją najlepszą obroną jest połączenie dwóch rzeczy: uczciwej obsługi, która eliminuje realne powody sporu, oraz twardej dokumentacji każdej wysyłki. Kilka praktyk, które ograniczają straty:
Oszustwo nie zaczyna się dopiero przy płatności. Coraz częściej punktem wejścia jest przejęte konto albo wyłudzone dane, dlatego ochrona kont klientów jest równie ważna jak weryfikacja płatności.
Po stronie logowania warto wymuszać silne hasła, oferować uwierzytelnianie dwuetapowe i ograniczać liczbę prób logowania, żeby utrudnić atak na zasadzie prób i błędów. Każda istotna zmiana na koncie (adres, hasło, dane kontaktowe) powinna generować mail do klienta, bo to często pierwszy moment, w którym prawowity właściciel orientuje się, że ktoś przejął jego konto. Szczególnie czujnie należy traktować nagłą zmianę adresu dostawy tuż przed dużym zamówieniem.
Osobna warstwa to ochrona danych, które sam gromadzisz. Wyciek danych klientów to nie tylko problem wizerunkowy, ale i prawny, dlatego minimalizacja przechowywanych informacji oraz kontrola dostępu do panelu są obowiązkiem, a nie opcją. Jak podejść do tego zgodnie z przepisami, rozkładamy w poradniku o ochronie danych osobowych klientów.
W sprzedaży do firm dochodzi jeszcze weryfikacja kontrahenta. Sprawdzenie NIP i statusu na białej liście podatników VAT zmniejsza ryzyko, że sprzedasz towar podmiotowi podszywającemu się pod istniejącą firmę, a przy okazji realizuje wymóg należytej staranności. Najlepiej, gdy weryfikacja jest wpięta w proces wystawiania faktury, dzięki czemu nieprawidłowości wychodzą na jaw przed wysyłką towaru.
Największą trudnością w walce z oszustwami jest rozproszenie. Gdy sprzedajesz na Allegro, we własnym sklepie i na kilku innych platformach, każde zamówienie ląduje w innym systemie, z innym zestawem danych. Sygnały ostrzegawcze, które byłyby oczywiste w jednym widoku, giną, bo nikt nie zestawia ich ze sobą.
Tu sprawdza się hub e-commerce taki jak NavyFlame. Platforma pobiera zamówienia z wielu kanałów do jednego panelu, łączy je z fakturami w systemach księgowych oraz z wysyłkami i śledzeniem przesyłek. Dzięki temu, oceniając zamówienie, masz w jednym miejscu pełen kontekst: historię klienta, dane do dostawy, status płatności i dokument sprzedaży. Nietypowy przypadek łatwiej wychwycić, gdy widać go na tle wszystkich zamówień, a nie w izolacji.
NavyFlame nie jest systemem antyfraudowym i nie zastąpi bramki płatniczej ani jej mechanizmów uwierzytelniania. Porządkuje jednak operacyjny kontekst, który pozwala człowiekowi podjąć trafną decyzję: zrealizować zamówienie od razu, poprosić o weryfikację albo je wstrzymać. Do tego dochodzą automatyczne powiadomienia email, które informują klienta o każdym etapie zamówienia i zmniejszają liczbę sporów wynikających z niepewności, oraz automatyzacja zamówień i faktur, dzięki której dokumentacja każdej transakcji powstaje sama i jest gotowa jako dowód. Zakres tych funkcji zależy od wybranego pakietu, który sprawdzisz na stronie planów subskrypcyjnych.
Zastrzeżenie: ten materiał ma charakter edukacyjny i nie jest poradą prawną ani z zakresu bezpieczeństwa. Szczegółowe wymogi (PCI DSS, obsługa chargebacku, ochrona danych) zależą od Twojej bramki płatniczej, umów i aktualnych przepisów, dlatego przy wdrożeniu zabezpieczeń skonsultuj się z dostawcą płatności oraz specjalistą.
Podsumowując: ochrona sklepu przed oszustwami to praca na trzech frontach naraz. Czujność przy zamówieniu, twarde zabezpieczenia płatności i kont oraz dyscyplina w dokumentowaniu każdej wysyłki. Żaden z tych elementów nie wystarczy sam, ale razem realnie zbijają straty. A fundamentem, który to wszystko spina przy sprzedaży wielokanałowej, jest jeden spójny widok zamówień, w którym podejrzany przypadek po prostu rzuca się w oczy.
Przy płatnościach zdalnych (tak zwane card not present) w razie chargebacku to najczęściej sprzedawca zostaje bez towaru i bez pieniędzy, o ile nie udowodni, że transakcja była prawidłowa. Dlatego tak ważne są mechanizmy uwierzytelniania płatności po stronie bramki oraz własna weryfikacja podejrzanych zamówień przed wysyłką. Uwierzytelnienie 3D Secure przenosi część odpowiedzialności na wydawcę karty, ale nie zwalnia sklepu z czujności.
Typowe sygnały ostrzegawcze to: rozbieżność między adresem rozliczeniowym a adresem dostawy, nienaturalnie duże pierwsze zamówienie od nowego klienta, kilka nieudanych prób płatności różnymi kartami, dostawa na adres tymczasowy przy jednoczesnym pośpiechu oraz dane kontaktowe, które do siebie nie pasują. Żaden pojedynczy sygnał nie przesądza sprawy, ale kilka naraz to powód, by zweryfikować zamówienie przed realizacją.
Płatność za pobraniem eliminuje ryzyko chargebacku, bo nie ma transakcji kartą do zakwestionowania. Nie chroni jednak przed innym problemem: paczkami nieodebranymi, które generują koszt wysyłki w obie strony. Pobranie sprawdza się jako opcja dla klientów, którym nie ufasz w pełni, ale warto łączyć je z limitami wartości i weryfikacją danych, żeby ograniczyć porzucone przesyłki.
Podstawą jest wymuszanie silnych haseł, oferowanie uwierzytelniania dwuetapowego oraz alarmowanie o nietypowych działaniach na koncie, takich jak nagła zmiana adresu dostawy tuż przed dużym zamówieniem. Warto też ograniczać liczbę prób logowania i informować klienta mailem o zmianach danych. Przejęte konto to częsty punkt startowy oszustwa, bo daje dostęp do zapisanych danych i historii zakupów.
Tak, przy sprzedaży do firm sprawdzenie NIP kontrahenta i jego statusu na białej liście podatników VAT zmniejsza ryzyko współpracy z podmiotem podszywającym się pod istniejącą firmę. To także element należytej staranności przy rozliczeniach. Weryfikację warto wpiąć w proces wystawiania faktury, żeby wychwycić nieprawidłowości, zanim towar opuści magazyn.
Jak działa pobranie (COD) w sklepie internetowym, ile kosztuje, jakie niesie ryzyko nieodebranych paczek i jak prawidłowo księgować wpływy. Praktyczny poradnik dla sprzedawcy.
Czym jest biała lista podatników VAT, dlaczego trzeba sprawdzać rachunek dostawcy, jakie sankcje grożą za płatność powyżej 15 tys. zł na konto spoza wykazu i jak weryfikować kontrahentów przy zakupach hurtowych do sklepu internetowego.
Praktyczny przewodnik po ochronie danych osobowych klientów w sklepie internetowym: minimalizacja, szyfrowanie, kontrola dostępu, powierzenie przetwarzania i reakcja na incydenty.
Sprawdź demo NavyFlame bez rejestracji i zobacz, jak zamówienia, faktury i wysyłki z wielu platform trafiają do jednego panelu z monitoringiem.
Zobacz demo